Data governance bij gemeenten: hoe een consultancytraject verloopt en wat het oplevert

Een data governance consultancy traject bij een gemeente begint zelden bij techniek. Het begint bij een vraag die niemand kan beantwoorden: wie is eigenlijk verantwoordelijk voor dit gegeven? Zolang die vraag open blijft, blijft alles wat erop volgt vrijblijvend. Datakwaliteit is dan van iedereen en dus van niemand, een verzoek op grond van de Wet open overheid kost weken zoekwerk, en een AI-toepassing komt niet verder dan een pilot omdat niemand durft te tekenen voor de gegevens eronder. Dat is het probleem waar zo’n traject voor bedoeld is, en het is een organisatievraagstuk vermomd als een technisch project.

In het kort

• Data governance regelt wie verantwoordelijk is voor welke gegevens, met welke afspraken over kwaliteit, toegang en bewaren.
• Sinds 2 augustus 2026 gelden de verplichtingen van de AI-verordening voor hoogrisicotoepassingen, en veel gemeentelijke toepassingen vallen daaronder.
• Een realistisch traject duurt zes tot twaalf maanden voor het fundament, en de borging daarna is het echte werk.
• De Europese aanbestedingsdrempel voor diensten bij decentrale overheden is per 1 januari 2026 verlaagd naar 216.000 euro.

Waarom dit nu op de agenda staat

Gemeenten zijn al jaren bezig met datagedreven werken, maar de urgentie is de afgelopen periode verschoven van ambitie naar verplichting. Vier ontwikkelingen komen samen.

De eerste is de AI-verordening. Sinds 2 augustus 2026 gelden de eisen voor hoogrisico-AI-systemen uit bijlage III, en dat raakt gemeenten direct. Toepassingen die toegang tot essentiële publieke diensten bepalen, systemen die worden ingezet bij werving en personeelsbeleid, en algoritmen die burgers beoordelen vallen daar in beginsel onder. Bij zo’n systeem moet je kunnen aantonen op welke gegevens het draait, waar die vandaan komen en hoe de kwaliteit is geborgd. Zonder ordentelijke data governance is dat niet te doen.

De tweede is transparantie over algoritmen. Het nationale Algoritmeregister bestaat sinds 2022 en groeide van ongeveer 675 registraties begin 2025 naar ruim duizend in de loop van dat jaar. Registratie in het nationale register is geen zelfstandige wettelijke plicht, maar hoogrisicosystemen van publieke instanties moeten wel in de Europese databank worden opgenomen. Wat je registreert, moet kloppen, en dat vraagt om iemand die verantwoordelijk is voor die beschrijving.

De derde is informatiebeveiliging. De Baseline Informatiebeveiliging Overheid, in de tweede versie, is sinds 23 september 2025 verplicht voor Nederlandse overheidsorganisaties. BIO2 is gebaseerd op ISO 27001 en vraagt om classificatie van informatie en om aanwijsbare eigenaren. Ook dat loopt vast zonder governance.

De vierde is de openbaarheidskant. De Wet open overheid vraagt om actieve openbaarmaking, en dat kan alleen als je weet welke informatie je hebt, waar die staat en wie erover gaat. Diezelfde vraag komt terug bij de Archiefwet, bij de AVG en bij verzoeken van de gemeenteraad. Steeds is het antwoord afhankelijk van dezelfde basis.

Wat data governance precies is, en wat niet

Data governance is het geheel aan afspraken over wie welke beslissingen mag nemen over gegevens, en wie waarvoor verantwoordelijk is. Het gaat over rollen, mandaten, beleid en overlegstructuren. Het gaat nadrukkelijk niet over het uitvoeren van het werk zelf.

Dat onderscheid is belangrijk omdat het in offertes vaak door elkaar loopt. Datamanagement is het uitvoerende werk: gegevens beheren, kwaliteit meten, koppelingen bouwen, definities vastleggen. Data governance is de laag daarboven die bepaalt wie dat mag beslissen en wie erop wordt aangesproken. Een gemeente kan uitstekend datamanagement hebben zonder governance, en dan is de kwaliteit afhankelijk van een paar toegewijde medewerkers. Zodra die vertrekken, verdwijnt het.

Het meest gebruikte kader hiervoor is DAMA-DMBOK, in Nederland het bekendste framework voor datamanagement. Dat is bruikbaar als naslagwerk, maar een gemeente die het integraal probeert in te voeren, verdrinkt erin. In de praktijk gebruik je het als menukaart en niet als handleiding.

De fasen van een consultancytraject

De opbouw is bij vrijwel elk bureau vergelijkbaar. De doorlooptijden hieronder gelden voor een middelgrote gemeente en lopen bij de grote steden fors op.

Fase 1: weten waar je staat

Vrijwel elk traject opent met een volwassenheidsmeting. Voor gemeenten bestaat daar een eigen instrument voor, het Ontwikkelmodel Datagedreven Gemeenten van VNG Realisatie en het A&O fonds. Dat werkt met vragenlijsten en is toegesneden op de gemeentelijke situatie: de brede taakopvatting, het grote aantal afdelingen en de bestuurlijke context. De uitkomst is een score per thema, bijvoorbeeld een 2 op een schaal van 5, met de ambitie om naar een 4 te groeien.

Een tip die zichzelf terugverdient: laat die scan intern uitvoeren voordat een bureau langskomt. Het instrument is openbaar, je organisatie leert ervan, en je begint het gesprek met een eigen beeld in plaats van met het beeld van de partij die je iets wil verkopen.

Fase 2: strategie die aansluit op de opgaven

Hier gaat het het vaakst mis. Een datastrategie die begint bij data en niet bij beleid, wordt een technisch document dat in de la belandt. De VNG-lijn is niet voor niets opgavegericht en verantwoord datagedreven werken: je vertrekt bij de maatschappelijke opgave, bijvoorbeeld de energietransitie, ondermijning, armoedebeleid of de woningvoorraad, en werkt terug naar welke gegevens daarvoor nodig zijn en van welke kwaliteit.

Dat heeft een praktisch voordeel bij de besluitvorming. Een wethouder tekent zelden voor beter datamanagement, maar wel voor het sneller kunnen beantwoorden van de vraag hoeveel woningen er verduurzaamd zijn en wat dat heeft gekost.

Fase 3: rollen die echt iets betekenen

Dit is het hart van governance en meteen het politiek gevoeligste deel, want je legt verantwoordelijkheden bij mensen die al vol zitten. Rollen die in vrijwel elk traject terugkomen:

Let op de valkuil van de nieuwe functie. Een traject dat eindigt met een voorstel om drie data-officers te werven, schuift het probleem door naar de begroting van volgend jaar. Beter is om verantwoordelijkheden te beleggen bij mensen die er al zitten en die het mandaat formeel te geven.

Fase 4 en 5: van papier naar praktijk

In fase vier komen de inhoudelijke afspraken: welke kwaliteitseisen gelden per soort gegeven, hoe classificeer je informatie, wie mag waarbij, hoelang bewaar je wat en welke definities gelden gemeentebreed. Dat laatste is onderschat en levert direct resultaat op. Zolang de ene afdeling onder een huishouden iets anders verstaat dan de andere, kloppen alle rapportages waarin dat begrip voorkomt niet met elkaar.

Fase vijf is waar het traject slaagt of mislukt. Beproef de afspraken op twee of drie domeinen, laat de eigen mensen het werk doen met de adviseur ernaast in plaats van andersom, en stel bij op basis van wat er in de praktijk niet werkt. Een gemeente die na afloop een prachtig beleidskader heeft maar niemand die het toepast, is verder van huis dan voorheen, want nu is de illusie ontstaan dat het geregeld is.

Wat Rotterdam ervan leerde

Rotterdam pakte dit vraagstuk aan op een manier die navolging verdient, en de gemaakte keuzes zijn leerzaam.

De eerste keuze was om niet te spreken van data-eigenaarschap maar van verantwoordelijkheid. Eigenaarschap suggereert bezit, en dat leidt tot discussies over wie iets mag afstaan. Verantwoordelijkheid sluit aan op hoe een gemeente al werkt: de gemeentesecretaris is eindverantwoordelijk en mandateert naar directeuren en afdelingshoofden, die het voor hun eigen processen dragen.

De tweede keuze was om aan te sluiten op wat er al lag. Het bestaande mandaatbesluit is aangepast, zodat verantwoordelijkheid voor naleving van de Wet open overheid en de Wet hergebruik overheidsinformatie bij bestaande coördinatoren kwam te liggen. Geen nieuwe functies dus, geen dubbele rollen.

De derde keuze zat in de aanpak zelf, die bewust niet-invasief was: datamanagement inbouwen in bestaande processen in plaats van er een apart circuit naast zetten. Dat was een antwoord op het knelpunt dat overal terugkomt, namelijk dat medewerkers datamanagement ervaren als een extra taak bovenop het eigenlijke werk. Voor het toezicht werd het model van de drie verdedigingslinies gebruikt.

De schaal maakt duidelijk waarom uitvoering het echte werk is: het ging om ongeveer 15.000 medewerkers verdeeld over zes clusters, met bijbehorende communicatie, trainingsmateriaal en een operationeel team voor ondersteuning. Een kleinere gemeente hoeft dat niet na te doen, maar de volgorde is dezelfde: eerst mandaat, dan proces, dan ondersteuning.

De architectuur eronder: Common Ground en het Federatief Datastelsel

Een governancetraject staat niet los van de technische richting waar gemeenten al jaren op koersen. Common Ground is de thematische architectuur binnen GEMMA, de referentiearchitectuur die elke Nederlandse gemeente geacht wordt te volgen. Het uitgangspunt is dat gegevens niet meer worden gekopieerd naar allerlei applicaties, maar bij de bron blijven en via gestandaardiseerde API’s beschikbaar komen.

Op rijksniveau heet dezelfde gedachte het Federatief Datastelsel, een interbestuurlijk afsprakenstelsel dat het mogelijk moet maken om data uit verschillende bronnen in samenhang te ontsluiten. De VNG ontwikkelde daarvoor FSC, sinds 2025 de standaard binnen de integratielaag.

Waarom dat hier van belang is: het principe van gegevens bij de bron werkt alleen als iemand verantwoordelijk is voor die bron. Zolang niet vaststaat wie de kwaliteit van een gegeven bewaakt, verplaatst je alleen het probleem van dertig kopieën naar één bron waar iedereen op vertrouwt zonder dat iemand hem onderhoudt. Governance en architectuur zijn in dat opzicht twee kanten van hetzelfde.

Extern inhuren: hoe je het inkoopt

De meeste gemeenten halen deze kennis van buiten, en dan komt het aanbestedingsrecht in beeld. Voor diensten van decentrale overheden geldt sinds 1 januari 2026 een Europese drempel van 216.000 euro, verlaagd van 221.000 euro. Die bedragen zijn exclusief btw en gelden tot en met 31 december 2027.

Blijf je daaronder, dan volg je het eigen inkoopbeleid, dat per gemeente verschilt in wanneer je één, drie of meer offertes opvraagt. In de praktijk lopen veel opdrachten via een inhuurmarktplaats, een dynamisch aankoopsysteem of een bestaande raamovereenkomst, wat het traject aanzienlijk versnelt.

Belangrijker dan de route is hoe je de opdracht formuleert. Een paar punten die het verschil maken:

• Vraag om werkende praktijk, geen rapport: neem in de uitvraag op dat de oplevering bestaat uit toegepaste afspraken op minstens twee domeinen
• Leg kennisoverdracht vast: benoem expliciet dat eigen medewerkers de rollen gaan vervullen en dat het bureau die opleidt
• Vraag naar gemeentelijke ervaring: het bestuurlijke krachtenveld, de mandaatstructuur en de wettelijke context zijn niet te vergelijken met het bedrijfsleven
• Vraag naar een mislukt traject: iemand die kan vertellen wat er ergens niet werkte, kent de praktijk beter dan wie alleen successen laat zien
• Beperk de looptijd van de eerste opdracht: liever een korte opdracht met een duidelijk resultaat en daarna verlengen, dan een tweejarig traject dat zichzelf in stand houdt
• Zorg voor een interne opdrachtgever met mandaat: zonder iemand in de directie die knopen kan doorhakken, blijft elk advies hangen

Waar deze trajecten op stuklopen

De patronen zijn opvallend consistent, ongeacht de grootte van de gemeente.

• Te groot beginnen: een gemeentebreed programma dat alles tegelijk wil regelen, verzandt voordat het eerste domein af is
• Geen mandaat: adviseurs kunnen adviseren, maar alleen de organisatie zelf kan verantwoordelijkheden beleggen
• Techniek eerst: een datacatalogus aanschaffen voordat is bepaald wie hem vult, levert een leeg systeem op
• Governance als extra taak: als het niet in bestaande processen zit, gebeurt het niet zodra de druk toeneemt
• Vertrek van de adviseur: als de kennis meeloopt de deur uit, valt het binnen een half jaar terug
• Bestuurlijke wisseling: een collegewisseling kan prioriteiten omgooien, dus zorg dat de basis in staand beleid zit en niet in een programma

Klein beginnen levert meer op dan groot denken

De gemeenten die hier het verst mee komen, zijn zelden de gemeenten met het dikste beleidskader. Het zijn de gemeenten die één domein hebben gekozen waar de pijn het grootst was, daar de verantwoordelijkheden hebben belegd en het hebben laten werken. Pas daarna volgde het volgende domein, met de geloofwaardigheid van iets dat aantoonbaar werkt.

Dat is ook het antwoord op de vraag wanneer je een extern bureau inschakelt en wanneer niet. Voor de nulmeting en de eerste strategie is externe hulp waardevol, omdat een buitenstaander vragen kan stellen die intern gevoelig liggen en omdat de ervaring uit andere gemeenten reëel tijd bespaart. Voor het borgen is externe hulp juist een risico, want wat je uitbesteedt, leer je niet zelf. De beste trajecten zijn daarom die waarin het bureau vanaf de eerste dag toewerkt naar zijn eigen overbodigheid.